現場実践｜AWSガバナンス管理

AWS ConfigとTrusted Advisorで始めるAWSガバナンス管理

「AWSの設定変更を全て記録したい」「コスト削減の機会を自動で見つけたい」——AWS Configによる設定変更の追跡・適合ルールの設定・Trusted Advisorによる改善提案の活用方法を解説します。

読了目安：約18分更新日：2026年3月

💡 AWSガバナンス管理の2本柱はAWS Config（設定変更の追跡）とTrusted Advisor（改善提案）。どちらも有効化するだけで価値が生まれるサービスです。

この記事を書いた人

現役ITエンジニア・IT講師（経験14年）

CCNA・CCNP 取得LPIC-1 保有SES現場を複数経験

AWSガバナンス設計・コンプライアンス対応を複数案件で担当してきた立場から解説します。

1. AWS Configとは

AWS Configは「AWSリソースの設定変更を継続的に記録・評価するサービス」です。「いつ・誰が・どのリソースを・どう変更したか」を全て記録します。セキュリティインシデント調査・コンプライアンス監査・変更管理に不可欠なサービスです。

2. よく使うConfigマネージドルール

s3-bucket-public-read-prohibited：S3バケットのパブリック読み取りが有効になっていると非適合と判定する
restricted-ssh：セキュリティグループがSSHポート（22）を0.0.0.0/0に開放していると非適合
rds-storage-encrypted：RDSインスタンスのストレージ暗号化が無効の場合に非適合
encrypted-volumes：EBSボリュームの暗号化が無効の場合に非適合

3. Trusted Advisorの5つのカテゴリ

💰

コスト最適化

未使用のEC2・未アタッチのEBS・使われていないEIPなど削減可能なリソースを自動検出する。

🔒

セキュリティ

MFAが未設定のIAMユーザー・パブリックなS3バケット・古いセキュリティグループルールを検出する。

🏛️

耐障害性

シングルAZ構成のRDS・バックアップが取られていないEC2・Auto Scalingが未設定のケースを検出する。

4. AWS Config通知の自動化

AWS ConfigのルールがNon-compliant（非適合）になったタイミングでEventBridgeルールをトリガーしてSlackに通知する仕組みを構築することで、設定ミスのリアルタイム検知が実現できます。AWS Config Remediationを設定すると非適合リソースを自動修復することも可能です。

📌 この記事のポイント

AWS Configはリソース設定変更の継続的な記録と適合ルール評価でコンプライアンスを管理する
S3パブリック禁止・SSH全開放禁止・RDS暗号化必須がまず設定すべき基本的なConfigルール
Trusted AdvisorはコストとセキュリティとRDSシングルAZ等の改善機会を自動検出するサービス

よくある質問（FAQ）

Q. AWS ConfigとTrusted Advisorで始めるAWSガバナンス管理を学ぶ上で、前提知識は何が必要ですか？

基本的なネットワーク知識（IP・サブネット・ルーティングの概念）とLinuxコマンドの基礎があると学習が進めやすいです。CCNA・LinuC Level1程度の知識があれば十分です。クラウド自体はGUIで操作できるため、プログラミングの知識がなくても始められます。

Q. AWS ConfigとTrusted Advisorで始めるAWSガバナンス管理の資格取得にはどのくらいの費用がかかりますか？

AWS・Azure・GCPともに試験費用は15,000〜30,000円程度です。学習教材としてUdemyのオンライン講座（セール時2,000〜3,000円）と公式ドキュメント（無料）の組み合わせが費用対効果が高いです。ハンズオン練習のクラウド利用料は月2,000〜5,000円程度見ておくとよいでしょう。

Q. クラウド系のスキルは将来性がありますか？

クラウド関連スキルの将来性は非常に高いです。企業のクラウド移行は今後も続き、2026年現在でもAWS・Azure認定資格保有者の需要は旺盛です。フリーランス市場でもクラウドエンジニアの単価は月80〜120万円と高水準で、今から学ぶ価値は十分あります。